Spring Secuirty SAML2 Core-为运行时创建的身份提供程序添加密钥

Question

目前，我正在使用Spring Security编辑我的项目上SAML支持的现有实现。我有多个标识提供商，为此我将数据存储在数据库中。使用我的应用程序用户界面，我可以在运行时添加新的标识提供商，它将被添加到CachingMetadataManager中。之后，调用刷新元数据。然而，我有JKSKeyManager，它在应用程序启动时加载，并加载一个JKS密钥库，用于所有标识提供商的所有元数据。我希望用户能够在运行时创建标识提供商期间使用我的应用程序用户界面上传（或粘贴）私钥，这样，不同的密钥可以用于不同的标识提供商，但我不知道如何使用。如果我把密钥存储在JKS文件或其他地方，对我来说没有区别。没有Spring启动，恐怕没有能力升级库版本/迁移到其他库。

密钥管理器注入如下所示：

@Bean
  public KeyManager keyManager() {
    DefaultResourceLoader loader = new DefaultResourceLoader();
    Resource storeFile = loader
        .getResource(environment.getProperty("server.ssl.key-store"));
    Map<String, String> passwords = new HashMap<>();
    passwords.put(environment.getProperty("server.ssl.key-alias"), environment.getProperty("server.ssl.key-store-password"));
    String defaultKey = "spring";
    return new JKSKeyManager(storeFile, environment.getProperty("server.ssl.key-store-password"), passwords, defaultKey);
  }

使用的SAML扩展是org的spring-security-saml2-core（1.0.3.RELEASE）。springframework。安全扩展。Spring Security vesion是3.2.9。释放

Answer 1

由于JKSKeyManager在构造时计算所有可用密钥，因此KeyManager的自定义实现可能是最好的。

例如，类似以下内容：

public DynamicJKSKeyManager extends JKSKeyManager {
    private final KeyStore keyStore;

    public KeyStoreKeyManager(KeyStore keyStore, Map<String, String> passwords, String defaultKey) {
        super(keyStore, passwords, defaultKey);
        this.keyStore = keyStore;
    }

    @Override
    public Set<String> getAvailableCredentials() {
        try {
            Set<String> availableKeys = new HashSet<String>();
            Enumeration<String> aliases = keyStore.aliases();
            while (aliases.hasMoreElements()) {
                availableKeys.add(aliases.nextElement());
            }
            return availableKeys;
        } catch (KeyStoreException e) {
            throw new RuntimeException("Unable to load aliases from keyStore", e);
        }
    }
}

将更改方法以读取每个调用上的KeyStore别名。

然后，当需要向KeyStore添加密钥时，可以使用KeyStoreAPI来完成。

当然，正如您所提到的，您不必使用密钥库。无论在哪里存储密钥，都可以实现自己的KeyManager，并使用OpenSAML的CollectionCredentialResolver而不是KeyRecredentialResolver。